20
1 RW Conseil Les technologies de la sécurité au service de l’utilisateur Introduction aux systèmes à base de cartes multiapplicatives

RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

Embed Size (px)

Citation preview

Page 1: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

1

RW ConseilLes technologies de la sécurité au service de

l’utilisateur

Introduction aux systèmes à base de cartes multiapplicatives

Page 2: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 2

Ordre du jour

Un peu d’histoire Caractéristiques d’une carte à puce Caractéristiques d’une carte

multiapplicative Comment gérer les cartes

Page 3: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 3

Un peu d’histoire 1/3

La carte à puce est une invention française, brevetée par Roland Moreno en 1974

L’innovation consiste à loger dans l’épaisseur d’une carte la « puce » d’un circuit intégré et un connecteur extra plat permettant de le raccorder facilement à des circuits extérieurs

Page 4: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 4

Un peu d’histoire 2/3

Diversification de la simple carte à puce à l’objet portable sécurisé:– Porte-clé– Jeton USB– …

Contient un microcontrôleur sans être au format « carte bancaire »

Page 5: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 5

Un peu d’histoire 3/3

les succès de la carte à puce – Télécarte: France, Allemagne…puis le monde– SIM (GSM)– Banque (CB, EMV, Moneo)– Adoption par la communauté informatique

• Sun (Javacard)

• Microsoft (PC/SC)

Page 6: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 6

Caractéristiques de la carte 1/2

Carte à mémoire– La télécarte

Carte à microprocesseur– CB, Vitale,…

Carte à contact– Insertion de la carte

dans un lecteur

Carte sans contact– Échange « radio »

Page 7: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 7

Caractéristiques de la carte 2/2

Microcontrôleur– Coprocesseur cryptographique

ROM– Contient le système d’exploitation, les

applications « stables » EEPROM

– Contient les données applicatives, et les applications « dynamiques »

– De quelques centaine d’octets à 32ko

Page 8: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 8

Intérêts de la carte à puce

Portable Sécurisée (protections physiques et logiques

des données) Permet de distribuer les systèmes

d’information

Page 9: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 9

Exemple: Gestion des prêts inter bibliothèques

Un étudiant a la possibilité d’emprunter au maximum 3 livres dans toutes les bibliothèques de la ville

Comment s’assurer dans chaque bibliothèque, que cette règle est respectée?

Page 10: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 10

Exemple: Gestion des prêts inter bibliothèques – solution 1

Bibliothèque 1 Bibliothèque 2

Jean DupontLivre A, date ALivre B, date B

Nécessite un service d’information commun entre les deux bibliothèques

Page 11: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 11

Exemple: Gestion des prêts inter bibliothèques – solution 2

Jean DupontLivre A, date ALivre B, date B

Bibliothèque 1

Jean DupontLivre A, date ALivre B, date BLivre C, date C

Jean emprunte un livre (C)

Bibliothèque 2

Jean DupontLivre A, date ALivre B, date BLivre C, date C

Jean se voit refuser tout nouvel emprunt

Chaque bibliothèque est autonome

Page 12: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 12

Caractéristiques d’une carte multiapplicative 1/3

Doté d’un système d’exploitation garantissant l’étanchéité entre les applications

Architecture et outils de développement «standards»

Autorise une gestion dynamique et sécurisée d’applications

Javacard et Multos sont les environnements aujourd’hui disponibles

Page 13: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 13

Caractéristiques d’une carte multiapplicative 2/3

JavaCard– Initiée en 1995 par

Schlumberger et SUN– Les spécifications sont

aujourd’hui gérées par SUN– Fortement promue par Visa

International– Sous-ensemble de Global

Platform (Spécifications d’un système de gestion de cartes multiapplicatives

– L’utilisation d’une JavaCard est libre

Multos– Issue du porte-monnaie

électronique « Mondex », développé par la NatWest, acquis par Mastercard International

– Les spécifications sont gérées par MAOSCO, consortium composé d’institutions financières (MCI, Europay,Discover) et d’industriels (G&D, Schlumberger, Infineon, Keycorp, …)

– L’utilisation d’une carte Multos requiert un lien permanent avec MAOSCO (Multos Key Management Authority)

Page 14: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 14

Caractéristiques d’une carte multiapplicative 3/3

Gestion du code PIN– 1 code PIN pour la carte?– 1 code PIN par application?– Qui est habilité à débloquer les codes pin?

Représentation sur la carte des différents fournisseurs de services?

Synchroniser les dates d’expiration des différentes applications?

Page 15: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 15

Les « fausses » cartes multiapplicatives

Plusieurs applications « tournent » sur la carte, mais:– Elles sont figées– Le développement est verrouillé (par le

fournisseur du système)– les outils de développement sont propriétaires

Exemple: l’offre Monécarte

Page 16: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 16

Avantages des cartes multiapplicatives

Différencier, en fonction de leur profil, les services offerts aux porteurs

Adapter dans le temps les services offerts aux porteurs

Permettre à des tiers d’offrir de nouveaux services

Page 17: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 17

Plus qu’une carte… Un système d’information

Pourquoi mettre en place un système d’information dédié?

Il est nécessaire de s’assurer que la politique de sécurité défini par l ‘émetteur est effectivement respectée.

Page 18: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 18

Cycle de vie d’une carte

Fabrication du module

Enablement de la carte

Expiration carte

Utilisation des appli.

Fabrication de la carte

Perso. physique

Fabrication du chip

Suppress. Appli.

Chargemt applications et données

Clés de transport

Enablement

Emetteur de carte

KM

A

Droit de chargemt

Droit de suppression

Page 19: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 19

Rôles et interfaces (Global Platform)« Fabrication »

Commande des chips

Fournit des chips

initialisés

Fabricant carte

Global Platform

Dévelop. OS

Fournit les spécifications de la plate-

forme

Fabricant chip

Fournit le code ROM pour masquage

Spécifie l’application

Fournit le code applicatif

Propriét. Appli.

KMA Fabricant

Fournit les clés de transport initiales

Fournit les spécifications des

API

Dévelop. Appli.

Card Enabler

KMA Platform

Fournit les clés de transport initiales

Fournit les clés de transport initiales

Page 20: RW Conseil Les technologies de la sécurité au service de lutilisateur 1 Introduction aux systèmes à base de cartes multiapplicatives

11février 2003 20

Rôles et interfaces (Global Platform)« Exploitation »

Porteur

Fabricant cartes

Commande des cartes

Livre les cartes

Fournit une carte

Serveur d’appli.

Fournit les fichiers d’applications,

clés

Fournit les détails des chargements et suppressions KMA

Appli.

Demande des clés

d’application

Fournit des clés

d’application

Demande le chargt ou la suppr. d’une application

Charge ou supprime une

application

Emetteur cartes

Fournit cartes, données platform et clés cartes

Card Enabler

Livre les cartes « enabled »

Donne les droits de chargt &

suppression sur certaines cartes

Demande les droits de chargt & suppression sur certaines cartes

Fournis. Appli.

Demande les données et clés d’enablement

Fournit les données et clés d’enablement

KMA Platform

Demande les données et clés d’enablement